BAG-Urteil zum Schadensersatz nach DSGVO: Keine Entschädigung ohne spürbare Beeinträchtigung

Mit Urteil vom 20. Februar 2025 (Az. 8 AZR 61/24) hat das Bundesarbeitsgericht (BAG) wichtige Maßstäbe zur Geltendmachung immaterieller Schäden nach Art. 82 DSGVO gesetzt. Wer wegen eines Datenschutzverstoßes Schadensersatz verlangt, muss künftig konkret darlegen, worin der tatsächliche Schaden liegt. Ein bloßes Unwohlsein oder der Verweis auf einen allgemeinen Kontrollverlust genügt nicht. Das Urteil sorgt für Klarheit – vor allem für Unternehmen, die zunehmend mit pauschalen DSGVO-Schadensersatzforderungen konfrontiert werden.

Was war passiert?

Ein Arbeitnehmer hatte sein früheres Unternehmen verklagt, weil dieses eine verspätete Auskunft nach Art. 15 DSGVO erteilt hatte. Er verlangte dafür immateriellen Schadensersatz gemäß Art. 82 DSGVO – unter anderem, weil er sich „genervt“ und in seinen Rechten beeinträchtigt fühlte. Das BAG wies die Klage ab. Entscheidend sei nicht, ob ein Verstoß gegen die DSGVO vorliegt, sondern ob dadurch auch ein konkret spürbarer immaterieller Schaden entstanden ist.

Rechtslage: Was regelt Art. 82 DSGVO?

Art. 82 Abs. 1 DSGVO verpflichtet Verantwortliche zum Ersatz sowohl materieller als auch immaterieller Schäden, die durch Verstöße gegen die Verordnung entstehen. Der Anspruch ist verschuldensunabhängig, das heißt: Schon ein Verstoß reicht grundsätzlich aus, um die Haftung auszulösen – vorausgesetzt, es liegt tatsächlich ein Schaden vor.

Doch wann liegt ein immaterieller Schaden vor? Genau hier setzt das BAG an.

BAG: Ein Schaden muss konkret sein

Nach Auffassung des Gerichts reicht es nicht aus, wenn sich Betroffene lediglich „kontrolllos“ fühlen oder über das Verhalten des Unternehmens ärgern. Vielmehr verlangt das BAG:

• Eine konkrete Beeinträchtigung, die über bloßen Ärger hinausgeht.

• Eine nachvollziehbare Darlegung, inwiefern persönliche Rechte oder Lebensbereiche beeinträchtigt wurden.

• Keine Bagatellgrenze, aber ein „gewisses Gewicht“ der Beeinträchtigung muss erkennbar sein.

Die bloße Verletzung der DSGVO selbst – etwa durch eine verspätete oder unvollständige Auskunft – führt also nicht automatisch zu einem Anspruch auf Schadensersatz.

Häufiger Irrtum: DSGVO-Verstoß = Schadensersatz?

Viele Betroffene – insbesondere im arbeitsrechtlichen Kontext – gehen davon aus, dass schon jeder DSGVO-Verstoß mit Geld entschädigt werden muss. Das ist falsch. Das BAG stellt klar: Der Schaden muss über das rein Formale hinausgehen. Wer klagt, trägt die Darlegungs- und Beweislast für den erlittenen Nachteil. Pauschale Behauptungen reichen nicht.

Beispiel:
Ein Arbeitnehmer erhält seine personenbezogenen Daten statt innerhalb eines Monats erst nach zwei Monaten. Alle Daten sind korrekt. Er fühlt sich „unwohl“, kann aber keine weiteren Beeinträchtigungen darlegen. Ergebnis: Kein Schadensersatz.

Was bedeutet das Urteil für Arbeitgeber und Unternehmen?

Das Urteil ist ein wichtiger Baustein für mehr Rechtssicherheit im Umgang mit Datenschutzansprüchen. Unternehmen müssen Verstöße natürlich weiterhin vermeiden – aber sie müssen nicht jede formal unvollständige Auskunft sofort mit einer Zahlung „sühnen“. Schadensersatzforderungen nach DSGVO lassen sich künftig besser abwehren, wenn keine konkrete Beeinträchtigung erkennbar ist.

Gleichzeitig bleibt die Pflicht bestehen, Datenschutzprozesse im Unternehmen strukturiert zu gestalten – etwa bei der Auskunftserteilung, Datenverarbeitung oder beim Umgang mit Löschanfragen. Denn Verstöße können unabhängig vom Schadensersatz auch Bußgelder oder Reputationsschäden nach sich ziehen.

Unsere Empfehlung: Datenschutz professionell umsetzen – und sich wehren, wenn es nötig ist

Sie möchten wissen, ob gegen Ihr Unternehmen DSGVO-Schadensersatzforderungen bestehen – oder ob eine Klage Aussicht auf Erfolg hat? Oder Sie benötigen Unterstützung beim Aufbau rechtssicherer Prozesse im Umgang mit personenbezogenen Daten?

Kontaktieren Sie uns – wir beraten Sie persönlich, bewerten Ihre Risiken realistisch und verteidigen Ihre Rechte effektiv.